-
Base légale
- La justification qui vous autorise à traiter un renseignement : le plus souvent le consentement, ou une exception prévue par la loi.
-
Communication hors Québec
Loi 25, art. 17
- Le fait de confier ou d'envoyer des renseignements personnels à l'extérieur du Québec ; cela exige une évaluation et des garanties contractuelles.
-
Confidentialité
- La donnée n'est accessible qu'aux personnes autorisées.
-
Consentement
- L'accord libre et éclairé de la personne pour l'usage de ses renseignements ; il doit être clair et peut être retiré en tout temps.
-
Demande d'accès ou de rectification
- Une demande d'une personne pour voir, corriger, faire effacer ou récupérer les renseignements que vous détenez sur elle. À traiter dans les 30 jours.
-
Disponibilité
- La donnée est accessible quand vous en avez besoin — pas de panne, de perte ni de blocage.
-
Indice de conformité
- Un pointage global qui résume où vous en êtes et pointe vos prochaines actions les plus utiles.
-
Intégrité
- La donnée reste exacte et complète, non altérée sans autorisation.
-
Obligation de conformité
- Une exigence de la loi à remplir (ex. publier une politique, nommer un responsable). Chaque obligation se documente par une preuve.
-
Personne concernée
- La personne à qui se rapportent les renseignements personnels (client, employé, fournisseur, etc.).
-
Portabilité
- Le droit de la personne de recevoir ses renseignements dans un format technologique structuré et couramment utilisé, pour les réutiliser ailleurs.
-
Préjudice sérieux
Loi 25, art. 3.5
- Un dommage important pour la personne (financier, psychologique, réputationnel, etc.). S'il est probable après un incident, vous devez aviser la personne ET la CAI.
-
Rectification
- La correction d'un renseignement inexact, incomplet ou équivoque, à la demande de la personne concernée.
-
Registre des incidents de confidentialité
Loi 25, art. 3.8
- Le journal obligatoire des incidents touchant des renseignements personnels. La CAI peut en demander une copie ; conservez-le à jour.
-
Registre des traitements (RoPA)
- La liste de tout ce que votre organisation fait avec des renseignements personnels : pourquoi, lesquels, qui y a accès et où ils vont.
-
Renseignement personnel (RP)
- Toute information qui permet d'identifier une personne, directement ou indirectement (nom, courriel, dossier client, adresse IP, etc.).
-
Renseignement sensible
Loi 25, art. 59
- Un renseignement qui mérite une protection accrue, soit par sa nature (santé, biométrie), soit par le contexte dans lequel il est utilisé.
-
Sensibilité DICT
Loi 25, art. 10
- Une note de sensibilité de l'actif sur quatre axes — Disponibilité, Intégrité, Confidentialité, Traçabilité — pour prioriser vos mesures de protection.
-
Sous-traitant
- Un fournisseur qui traite des renseignements personnels pour votre compte (hébergeur, logiciel infonuagique, comptable, etc.).
-
Traçabilité
- On peut savoir qui a fait quoi avec la donnée, et quand (journalisation des accès et des actions).
-
Évaluation des facteurs relatifs à la vie privée (EFVP)
Loi 25, art. 3.3 et 17
- Une analyse à faire avant un projet à risque (nouvelle technologie, transfert hors Québec, données sensibles) pour repérer et réduire les risques pour les personnes.